Fugu-MT 論文翻訳(概要): The Long Con on the Web: Earn-then-Exploit Fraud Attacks against Coding Agents

論文の概要: The Long Con on the Web: Earn-then-Exploit Fraud Attacks against Coding Agents

arxiv url: http://arxiv.org/abs/2611.00725v1
Date: Sat, 31 Oct 2026 08:02:14 GMT
ステータス: 情報取得中
システム内更新日: 2026-11-03 20:16:07.354056
Title: The Long Con on the Web: Earn-then-Exploit Fraud Attacks against Coding Agents
Title（参考訳）: The Long Con on the Web: Earn-then-Exploit Fraud Attacks against Coding Agents
Abstract要約: 我々は,コーディングエージェントに対するWeb詐欺攻撃フレームワークであるEtE(Earn-then-Exploit)を提案する。 EtEは平均的なシーンレベルの攻撃成功率は71.4%であり、Codex-GPT-5.5では85.7%である。本稿では,Webコンテンツが特権行為を直接許可するのを防ぐアクション・オーソライゼーション分離(AAS)を提案する。
参考スコア（独自算出の注目度）: 5.668701947127105
License:
Abstract: Coding agents increasingly operate with web access and high privileges, creating a new attack surface where web fraud can directly target autonomous agents. Existing studies mainly focus on malicious links, prompt injection, and interface deception, while content-level web fraud against agents and the amplification of attacks through agent trust remain underexplored. In this paper, we present EtE (Earn-then-Exploit), a web fraud attack framework against coding agents, in which a malicious website first provides multiple rounds of genuinely verifiable assistance to establish trust and then introduces task-related instructions that cross intended operational boundaries. To systematically evaluate its effectiveness, we construct 56 organizational environments (8 task contexts x 7 attack consequences) and evaluate three representative coding agents. EtE achieves an average scene-level attack success rate of 71.4%, including 85.7% on Codex-GPT-5.5, 67.9% on ZCode-GLM-5.3-Flash, and 60.7% on QwenCode-Qwen3.7-Plus, significantly outperforming all injection-based baselines. More importantly, our experiments reveal that coding agents exhibit trust-like behavioral reliance on previously helpful Web sources, and that such accumulated credibility significantly increases their susceptibility to subsequent malicious instructions. Based on this finding, we propose action-authorization separation (AAS), which prevents web content from directly authorizing privileged actions and reduces the attack success rate to 0% while preserving 100% task completion, outperforming all evaluated defense baselines.
Abstract（参考訳）: コーディングエージェントは、ますますWebアクセスと高い特権で運用され、Web詐欺が自律的なエージェントを直接ターゲットできる新たな攻撃サーフェスを生み出している。既存の研究は主に悪意のあるリンク、インジェクション、インターフェースの偽装に焦点を当てているが、コンテンツレベルのウェブ詐欺やエージェント信頼による攻撃の増幅は未調査のままである。本稿では,EtE(Earn-then-Exploit)について紹介する。EtE(Earn-then-Exploit)は,悪意のあるWebサイトが信頼を確立するために,複数の真に検証可能な支援を最初に提供し,意図された運用境界を横断するタスク関連命令を導入する,コーディングエージェントに対するWeb詐欺攻撃フレームワークである。その効果を体系的に評価するために,56の組織環境(タスクコンテキスト×7の攻撃結果)を構築し,3つの代表的符号化エージェントを評価する。平均的なシーンレベルの攻撃成功率は71.4%で、Codex-GPT-5.5で85.7%、ZCode-GLM-5.3-Flashで67.9%、QwenCode-Qwen3.7-Plusで60.7%、インジェクションベースベースラインではかなり上回っている。さらに重要なことは、コーディングエージェントが以前有用なWebソースに信頼的な行動依存を示すこと、そしてそのような信頼性が蓄積されたことにより、その後の悪意のある命令に対する感受性が著しく向上することを明らかにすることである。そこで本研究では,Webコンテンツによる特権行為の直接承認を防止し,100%のタスク完了を保ちながら攻撃成功率を0%まで低減し,評価された防衛基準を上回る動作許可分離(AAS)を提案する。

関連論文リスト

ANGLER: Verifier-Grounded Benchmarking with an Adaptive Attacker for Web Agents [13.705348731714814]
REEFは、Webエージェントのセキュリティ脆弱性を測定するための忠実な検証を備えた、レッドチーム実行環境のベンチマークである。 ANGLERは、レッドチームのための適応型ニアミス誘導ルアー進化フレームワークである。 ANGLERの攻撃成功率は20.36%であり、非適応的な設定では15.24%である。
論文参考訳（メタデータ） (2026-10-30T05:25:48Z)
WARD: Adversarially Robust Defense of Web Agents Against Prompt Injections [85.68545794960214]
WARD(Web Agent Robust Defense against Prompt Injection)は、セキュアで効率的なWebエージェントのための実用的なガードモデルである。 WARDは,719の高トラフィックURLとプラットフォームから収集された約177Kのサンプルを備えた,大規模なデータセットであるWARD-Base上に構築されている。我々は、メモリベースの攻撃とガード共進化プロセスを通じてWARDを反復的に強化する適応的敵攻撃訓練フレームワークであるA3Tを紹介する。
論文参考訳（メタデータ） (2026-05-14T16:26:27Z)
When Bots Take the Bait: Exposing and Mitigating the Emerging Social Engineering Attack in Web Automation Agent [20.98129117390391]
本稿では,Webオートメーションエージェントに対する社会工学的攻撃に関する最初の体系的研究について述べる。本稿では,エージェント実行における本質的な弱点を利用したエージェントベイトパラダイムを提案する。本稿では,環境意図と整合性を考慮した軽量ランタイムモジュールSUPERVISORを提案する。
論文参考訳（メタデータ） (2026-01-12T07:10:08Z)
It's a TRAP! Task-Redirecting Agent Persuasion Benchmark for Web Agents [52.81924177620322]
大規模な言語モデルを利用したWebベースのエージェントは、メール管理やプロフェッショナルネットワーキングといったタスクにますます利用されている。動的Webコンテンツへの依存は、インジェクション攻撃の引き金に弱い: インターフェース要素に隠された敵対的命令は、エージェントが元のタスクから逸脱するように説得する。本稿では,タスクリダイレクトエージェントの説得ベンチマーク(TRAP)について紹介する。
論文参考訳（メタデータ） (2025-12-29T01:09:10Z)
FocusAgent: Simple Yet Effective Ways of Trimming the Large Context of Web Agents [76.12500510390439]
大規模言語モデル(LLM)を利用したWebエージェントは、ユーザの目標を達成するために、長いWebページの観察を処理しなければならない。既存のプルーニング戦略は、関連するコンテンツを捨てるか、無関係なコンテキストを保持するかのいずれかであり、最適以下の行動予測につながる。 FocusAgentは軽量LCMレトリバーを利用してアクセシビリティツリー(AxTree)観測から最も関連性の高い線を抽出するシンプルで効果的なアプローチである。
論文参考訳（メタデータ） (2025-10-03T17:41:30Z)
WebGuard: Building a Generalizable Guardrail for Web Agents [59.31116061613742]
WebGuardは、Webエージェントアクションリスクの評価をサポートするために設計された最初のデータセットである。その中には、22のドメインにわたる193のWebサイトからの4,939の人手によるアノテートアクションが含まれている。
論文参考訳（メタデータ） (2025-07-18T18:06:27Z)
OpenAgentSafety: A Comprehensive Framework for Evaluating Real-World AI Agent Safety [58.201189860217724]
OpenAgentSafetyは,8つの危機リスクカテゴリにまたがるエージェントの動作を評価する包括的なフレームワークである。従来の作業とは異なり、我々のフレームワークは、Webブラウザ、コード実行環境、ファイルシステム、bashシェル、メッセージングプラットフォームなど、実際のツールと対話するエージェントを評価します。ルールベースの分析とLSM-as-judgeアセスメントを組み合わせることで、過度な行動と微妙な不安全行動の両方を検出する。
論文参考訳（メタデータ） (2025-07-08T16:18:54Z)
Mind the Web: The Security of Web Use Agents [11.075673765065103]
本稿では,Webページに悪意のあるコンテンツを埋め込むことで,攻撃者がWeb利用エージェントを利用する方法を示す。本稿では,悪質なコマンドをタスクガイダンスとしてフレーム化するタスクアラインインジェクション手法を提案する。本稿では,監視機構,実行制約,タスク認識推論技術などを含む包括的緩和戦略を提案する。
論文参考訳（メタデータ） (2025-06-08T13:59:55Z)
AgentVigil: Generic Black-Box Red-teaming for Indirect Prompt Injection against LLM Agents [54.29555239363013]
本稿では,間接的なインジェクション脆弱性を自動的に検出し,悪用するための汎用的なブラックボックスファジリングフレームワークであるAgentVigilを提案する。我々はAgentVigilをAgentDojoとVWA-advの2つの公開ベンチマークで評価し、o3-miniとGPT-4oに基づくエージェントに対して71%と70%の成功率を達成した。攻撃を現実世界の環境に適用し、悪質なサイトを含む任意のURLに誘導するエージェントをうまく誘導する。
論文参考訳（メタデータ） (2025-05-09T07:40:17Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。